Bei einer Datenpanne müssen Gemeinden rasch handeln – auch wenn noch nicht alle Fakten bekannt sind. Klare Zuständigkeiten, getrennte Meldewege und eine abgestimmte Kommunikation helfen dabei.
Eine Datenpanne ist nicht nur ein IT-Problem
Ein fiktiver Fall: Am Freitagnachmittag bemerkt eine Mitarbeiterin, dass sie ein Sozialhilfedossier an die falsche E-Mail-Adresse verschickt hat. Die Verwaltungsleitung ist nicht erreichbar. Darf die Fachabteilung selbst eine Meldung auslösen? Muss die betroffene Person sofort informiert werden? Und wer entscheidet, ob der Gemeinderat einzubeziehen ist?
Solche Fragen sollten nicht erst im Ereignisfall beantwortet werden. Gemeinden benötigen einen vorbereiteten Entscheidungs- und Meldeweg, der auch bei Abwesenheiten funktioniert. Dabei sind technische Sofortmassnahmen, Meldungen an Behörden, die Information betroffener Personen und die öffentliche Kommunikation auseinanderzuhalten.
Eine Verletzung der Datensicherheit liegt nicht nur bei einem Hackerangriff vor. Dazu gehören auch verlorene oder unrechtmässig veränderte Personendaten sowie deren Offenlegung gegenüber Unbefugten. Personendaten sind Angaben über bestimmte oder bestimmbare Menschen. Papierakten können ebenso betroffen sein wie elektronische Dossiers. Die Datenschutzbehörde Bern nennt ausdrücklich auch vertrauliche Fehlversände und verlorene Papierakten. Ob eine externe Meldung erforderlich ist, muss anschliessend anhand des anwendbaren Rechts beurteilt werden.
Zuerst klären: Welches Recht und welche Aufsicht sind zuständig?
Für die Datenbearbeitung kommunaler Behörden ist grundsätzlich das kantonale Datenschutzrecht massgebend. Das eidgenössische Datenschutzgesetz gilt demgegenüber für private Personen und Bundesorgane. Eine Gemeinde darf deshalb Vorgaben aus allgemeinen Merkblättern zum Bundesrecht nicht ungeprüft übernehmen. Darauf weist auch die Datenschutzbeauftragte des Kantons Zürich hin.
Bei kommunalen Unternehmen oder besonderen wirtschaftlichen Tätigkeiten ist die Einordnung gesondert vorzunehmen. In Zürich kann beispielsweise bei nicht hoheitlicher Teilnahme am wirtschaftlichen Wettbewerb das Bundesrecht sinngemäss gelten, während die kantonale Datenschutzaufsicht zuständig bleibt. Weder die Rechtsform noch ein privater IT-Anbieter beantworten die Zuständigkeitsfrage allein.
Die Kantone unterscheiden sich auch bei den Meldeschwellen, also den Voraussetzungen für eine Meldung. Der folgende exemplarische Vergleich bezieht sich auf den Rechtsstand vom 8. September 2026:
| Kanton und Rechtsgrundlage | Voraussetzung für die Meldung | Zeitliche Vorgabe |
|---|---|---|
| Zürich: § 12a Informations- und Datenschutzgesetz | Eine mögliche Gefährdung der Grundrechte der Betroffenen genügt. | Unverzüglich; fehlende Angaben dürfen nachgereicht werden. |
| Zug: § 7c kantonales Datenschutzgesetz | Voraussichtlich besteht ein Risiko für die Grundrechte der Betroffenen. | Unverzüglich; Ergänzungen sind möglich. |
| Bern: Art. 26 kantonales Datenschutzgesetz | Der Vorfall kann für Betroffene ein hohes Risiko verursachen. | Möglichst innert 72 Stunden ab Bekanntwerden. |
Die Erläuterungen der Aufsichtsbehörden in Zürich, Zug und Bern konkretisieren diese Anforderungen. Eine schweizweit einheitliche datenschutzrechtliche 72-Stunden-Regel für Gemeinden gibt es nicht. Ebenso wenig ist ein hohes Risiko überall Voraussetzung für eine Meldung.
In Bern sind das revidierte Datenschutzgesetz und die Datenschutzverordnung am 1. September 2026 in Kraft getreten. Die kantonale Datenschutzbehörde ist neu für die Aufsicht über die meisten Gemeinden zuständig; Ausnahmen bleiben bestehen. Die Übersicht zur Revision zeigt, weshalb Gemeinden nicht nur ihre Abläufe, sondern auch die hinterlegte Aufsichtsadresse überprüfen sollten.
Wer entscheidet? Verantwortung vorab zuordnen
Die datenschutzrechtliche Verantwortung liegt beim zuständigen öffentlichen Organ, also der für die Datenbearbeitung verantwortlichen Behörde oder Verwaltungsstelle. Die unabhängige Datenschutzaufsicht berät und überprüft das Vorgehen. Sie übernimmt jedoch nicht die interne Einsatzleitung. Diese Trennung zeigt der Ablauf zur Meldung einer Datenschutzverletzung, den die Datenschutzstelle Zug bereitstellt.
Wer innerhalb einer Gemeinde verbindlich entscheiden und eine Meldung übermitteln darf, ist nach dem jeweiligen Organisationsrecht festzulegen. Eine zweckmässige Arbeitsteilung kann so aussehen: Die Verwaltungsleitung oder eine bezeichnete Vorfallsleitung koordiniert die Abklärungen und überwacht Fristen. IT-Fachpersonen begrenzen den Schaden und ermitteln technische Fakten. Die betroffene Fachabteilung erklärt, welche Daten und Lebenssituationen betroffen sind. Eine interne Datenschutzfachperson oder der Rechtsdienst unterstützt die rechtliche Bewertung.
Der Meldeentscheid und seine Ausführung müssen einer zuständigen beziehungsweise dazu ermächtigten Stelle zugewiesen sein. Der Gemeinderat nimmt seine politische Führungsaufgabe und erforderliche Ressourcenentscheide gemäss Zuständigkeit wahr. Dieses Modell ist eine organisatorische Empfehlung, keine schweizweit vorgeschriebene Ämterverteilung. In kleinen Verwaltungen können mehrere Aufgaben bei derselben Person liegen.
Die Gemeinde sollte vorab regeln, wer eine notwendige Erstmeldung veranlassen darf, ohne auf die nächste ordentliche Gemeinderatssitzung zu warten. Ebenso wichtig sind Stellvertretungen. Die Bezeichnung «Datenschutzbeauftragte» sollte im Notfallplan eindeutig erkennen lassen, ob eine interne beratende Funktion oder die unabhängige Aufsicht gemeint ist.
Risiken für Menschen beurteilen, nicht den Imageschaden
Die Risikobeurteilung fragt nach der Schwere möglicher Folgen für betroffene Menschen und nach deren Eintrittswahrscheinlichkeit. Der drohende Reputationsschaden der Gemeinde ist dafür nicht ausschlaggebend. Der Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) erläutert unter anderem die Bedeutung der Datensensibilität, der Identifizierbarkeit und besonderer Verletzlichkeit. Er behandelt Bundesrecht; die für eine Gemeinde geltende kantonale Meldeschwelle bleibt separat zu beachten.
Für die interne Abklärung empfiehlt sich ein kurzes Entscheidungsblatt. Es sollte festhalten, was geschehen ist, wann der Vorfall entdeckt wurde, welche Daten und Personen betroffen sind und welche Folgen möglich erscheinen. Bestätigte Erkenntnisse, offene Fragen und bereits wirksame Schutzmassnahmen gehören getrennt aufgeführt.
Bei einem verlorenen Laptop wäre beispielsweise nicht nur nach gespeicherten Dokumenten zu fragen, sondern auch nach dem Schutz dieser Daten und nach weiterhin nutzbaren Verwaltungszugängen. Beim fiktiven Fehlversand ist zu klären, welche Informationen offengelegt wurden und wer darauf zugreifen konnte. Eine einzelne betroffene Person ist kein Grund, auf die Risikoprüfung zu verzichten.
Als Praxisempfehlung sollten auch Entscheide gegen eine externe Meldung mit Begründung, Zeitpunkt und verantwortlicher Person dokumentiert werden. Neue Erkenntnisse müssen eine erneute Prüfung auslösen können. Eine frühe Einschätzung darf nicht zur endgültigen Entwarnung werden, solange wesentliche Abklärungen offen sind.
Mehrere Meldewege können gleichzeitig erforderlich sein
Datenschutzaufsicht: Die zuständige Stelle gezielt informieren
Die Datenschutzmeldung richtet sich an die zuständige kantonale oder kommunale Aufsicht. Zürich hält ausdrücklich fest, dass die Meldung nicht verzögert werden darf, nur weil noch Angaben fehlen. Auch Zug ermöglicht Ergänzungen. Für die Praxis bedeutet das: Gesicherte Fakten und offene Fragen übermitteln, statt den Abschluss der gesamten Untersuchung abzuwarten.
BACS: Eine eigenständige Meldepflicht prüfen
Seit dem 1. April 2025 besteht eine separate Meldepflicht für bestimmte Cyberangriffe auf kritische Infrastrukturen. Dazu gehören auch Gemeindeverwaltungen. Nach den Informationen des Bundesamts für Cybersicherheit (BACS) ist ein meldepflichtiger Angriff innerhalb von 24 Stunden nach seiner Entdeckung zu melden. Für fehlende Angaben besteht eine Ergänzungsfrist von 14 Tagen.
Entscheidend sind die Voraussetzungen des Informationssicherheitsrechts. Dazu zählen etwa eine gefährdete Funktionsfähigkeit, die Manipulation oder der Abfluss von Informationen sowie Erpressung. Deshalb kann eine Cybermeldung nötig sein, obwohl keine Personendaten abgeflossen sind. Eine versehentliche Fehlzustellung ist umgekehrt nicht allein deshalb ein Cyberangriff.
Eine Meldung an das BACS erledigt die datenschutzrechtliche Meldepflicht nicht automatisch. Das BACS ermöglicht bestimmte Weiterleitungen nur auf ausdrückliche Veranlassung. Gemeinden sollten sicherstellen, dass ihre zuständige Datenschutzaufsicht die erforderlichen Informationen tatsächlich erhält. Bei gemeinsam mit dem Kanton betriebenen IT-Strukturen sind die Zuständigkeiten gesondert abzuklären. Die FAQ des BACS behandeln solche Konstellationen.
Polizei und weitere Stellen: Den jeweiligen Zweck beachten
Bei einem kriminellen Datenabfluss empfiehlt das BACS in seinen Hinweisen für Behörden eine Strafanzeige bei der zuständigen Kantonspolizei. Diese dient der Strafverfolgung und ersetzt keine andere Meldung. Ob zusätzlich ein Versicherer, eine Trägerschaft oder eine Fachaufsicht einzubeziehen ist, sollte anhand der konkreten rechtlichen und vertraglichen Vorgaben geklärt werden.
Betroffene informieren: Schutz ermöglichen
Die Information der betroffenen Personen ist gesondert zu prüfen. In Zürich ist sie erforderlich, wenn die Umstände sie verlangen oder die Datenschutzbeauftragte sie anordnet. Ein wichtiger Anwendungsfall besteht darin, dass Betroffene selbst Schutzmassnahmen treffen müssen. Die Datenschutzstelle Zug weist darauf hin, dass auch Unterstützung nach der Offenlegung eines Geheimnisses nötig sein kann.
Für eine verständliche Mitteilung empfiehlt sich eine klare Abfolge: Was ist geschehen? Welche Daten sind betroffen oder möglicherweise betroffen? Welche Folgen sind denkbar? Was unternimmt die Gemeinde? Was sollte die angeschriebene Person selbst tun? Eine erreichbare Kontaktstelle sollte Rückfragen beantworten können.
Eine allgemeine Medienmitteilung ist nicht ohne Weiteres ein Ersatz für eine gezielte Benachrichtigung. Ausnahmen und Einschränkungen richten sich nach dem anwendbaren Recht. Bern sieht eine öffentliche Bekanntmachung unter bestimmten Voraussetzungen als Alternative vor. Daraus folgt keine freie Wahl zwischen persönlicher Information und Website-Meldung.
Die Kommunikation sollte zur Situation der Betroffenen passen. Beim Versand ist ein geschützter Empfängerkreis wichtig: Eine Benachrichtigung über einen Fehlversand darf nicht selbst vertrauliche Angaben gegenüber weiteren Personen offenlegen.
Öffentlich kommunizieren, ohne vorschnell zu entwarnen
Das BACS empfiehlt in seiner Anleitung «Cyberangriff – wie kommunizieren?» eine frühe, koordinierte und transparente Information. Dabei sind verifizierte Fakten und die Interessen polizeilicher Ermittlungen zu berücksichtigen. Interne und externe Kommunikation sollen aufeinander abgestimmt sein; grundsätzlich wird intern zuerst informiert.
Für Gemeinden empfiehlt sich eine festgelegte Sprecherfunktion. Verwaltung, Gemeinderat und Dienstleister sollten keine widersprüchlichen Sachstände verbreiten. Die Bevölkerung benötigt vor allem Orientierung: Welche Dienstleistungen sind verfügbar? Welche Ersatzwege bestehen? Sind eigene Schutzmassnahmen nötig? Wann ist mit weiteren Informationen zu rechnen?
Besonders wichtig ist der Umgang mit Unsicherheit. Dass ein Datenabfluss noch nicht nachgewiesen wurde, bedeutet nicht, dass er ausgeschlossen ist. Eine mögliche Formulierung lautet: «Wir klären derzeit ab, ob Personendaten betroffen sind.» Sie ist nur dann passend, wenn sie dem tatsächlichen Abklärungsstand entspricht.
Das BACS bietet Vorlagen für Medienanfragen und Mitteilungen. Auch vorbereitete Aussagen dürfen jedoch nur verwendet werden, wenn sie belegt sind. Vertrauliche Einzelfälle und Namen Betroffener gehören nicht in eine öffentliche Mitteilung. Die Kommunikationsarbeit sollte weder unbegründete Entwarnung geben noch neue Offenlegungen verursachen.
Dienstleister einbinden, Ressourcen vorbereiten
Ein Auftragsdatenbearbeiter ist ein externer Anbieter, der Personendaten im Auftrag der Gemeinde bearbeitet. Nach den erläuterten Regeln in Zug muss er einen Vorfall unverzüglich dem verantwortlichen Organ mitteilen. Die datenschutzrechtliche Meldung an die Aufsicht bleibt dessen Aufgabe. Für Cybermeldungen an das BACS ist dagegen eine dokumentierte Übermittlung durch den Dienstleister im Namen der Gemeinde möglich.
Gemeinden sollten deshalb vorab vereinbaren, wer wen alarmiert, welche Erstinformationen geliefert werden und wie laufende Aktualisierungen erfolgen. Bei gemeinsamen Plattformen ist zusätzlich festzulegen, wie der Anbieter die Betroffenheit der einzelnen Gemeinden ermittelt. Eine allgemeine Nachricht über einen Angriff ersetzt diese Abklärung nicht.
Die Ressourcenplanung sollte neben der technischen Wiederherstellung auch externe Untersuchungen, Rechtsberatung, einen vorübergehenden Ersatzbetrieb, Betroffenenbetreuung und Kommunikation berücksichtigen. Dafür lassen sich aus den ausgewerteten Quellen keine belastbaren schweizweiten Standardkosten ableiten. Sinnvoller als pauschale Budgetbeträge sind geklärte Beauftragungsbefugnisse und erreichbare Fachpersonen.
Eine kleine Verwaltung muss nicht alle Kompetenzen selbst vorhalten. Sie sollte aber wissen, wer externe Unterstützung beiziehen darf und wie diese erreichbar ist. Das BACS empfiehlt bei einem Datenabfluss spezialisierte Hilfe, wenn das notwendige Wissen in der Behörde fehlt.
Von der Zuständigkeitsliste zum erprobten Ablauf
Für die Vorbereitung stellt das BACS ein Notfallkonzept mit einem IT-Notfall- und Krisenplan für Gemeinden bereit. Es umfasst Vorbereitung, Eintritt des Vorfalls, Bewältigung und Nachbearbeitung. Für kommunale Datenschutzvorfälle empfiehlt sich darauf aufbauend ein überschaubares Vorgehen:
- Zuständigkeiten festhalten. Verantwortliches Organ, Vorfallsleitung, Stellvertretungen, Entscheidungsbefugnisse und Aufsichtsadresse bestimmen. Mitarbeitende sollten Verdachtsfälle intern melden können, ohne die externe Meldepflicht selbst abschliessend beurteilen zu müssen.
- Handlungsfähige Meldewege einrichten. Notfallkontakte und alternative Kommunikationswege vorsehen, die auch bei ausgefallener E-Mail funktionieren. Mit Dienstleistern klären, wer Meldungen vorbereitet, übermittelt und deren Eingang kontrolliert.
- Unterlagen vorbereiten. Ein kurzes Vorfallsblatt, die zuständigen Meldeformulare und anpassbare Informationstexte bereithalten. Gesetzliche Pflichten und interne Empfehlungen sollten darin unterscheidbar bleiben.
- Den Ablauf gemeinsam üben. Einen fiktiven Fehlversand oder den Ausfall einer Fachanwendung mit Verwaltung und Dienstleister durchspielen. Dabei gezielt prüfen, ob auch bei Abwesenheiten entschieden werden kann.
- Nach einem Vorfall nachbessern. Ursachen, Entscheide und Zusammenarbeit auswerten. Erkenntnisse in Zuständigkeiten, Verträge, Schulungen und technische Massnahmen überführen.
Im Ereignisfall laufen Schadenbegrenzung, Risikobeurteilung und die Prüfung der Meldepflichten parallel. Das Wiederherstellen der Systeme allein beendet den organisatorischen Handlungsbedarf nicht. Ebenso wenig dürfen technische Untersuchungen notwendige Erstmeldungen oder Schutzinformationen unnötig verzögern.
Fazit: Handlungsfähigkeit beginnt vor dem Vorfall
Der nächste Schritt für eine Gemeinde muss kein umfangreiches neues Reglement sein. Ein guter Ausgangspunkt ist ein gemeinsam geprüftes Vorfallsblatt, abgestimmt auf das kantonale Recht und die eigene Organisation. Es sollte beantworten, wer beurteilt, wer entscheiden darf, wer Meldungen tatsächlich übermittelt und wer Betroffene betreut.
Datenschutzaufsicht, BACS, Strafverfolgung und Öffentlichkeit erfüllen unterschiedliche Aufgaben. Wer diese Wege im Voraus trennt und zugleich koordiniert, schafft die organisatorischen Voraussetzungen für eine zügige Reaktion. Entscheidend ist, dass der Ablauf nicht nur dokumentiert ist, sondern von den zuständigen Personen auch bei Zeitdruck und Abwesenheiten angewendet werden kann.
